SECURITY-AUDITOR

🛡️ SECURITY AUDITOR

🟡 Projeto Médio (50-200 arquivos)

Análise de segurança para @girardelli/architect

Checklist OWASP Top 10

□ A01: Broken Access Control — RBAC implementado?
□ A02: Cryptographic Failures — Dados sensíveis criptografados?
□ A03: Injection — Inputs sanitizados? Queries parametrizadas?
□ A04: Insecure Design — Threat model feito?
□ A05: Security Misconfiguration — Headers, CORS, defaults?
□ A06: Vulnerable Components — Deps atualizadas?
□ A07: Auth Failures — Brute force protegido? Session management?
□ A08: Software Integrity — Supply chain verificado?
□ A09: Logging Failures — Audit log para ações sensíveis?
□ A10: SSRF — Server-side requests validados?

Checklist Segurança — TypeScript

□ Inputs sanitizados e validados
□ Queries parametrizadas obrigatoriamente
□ CSRF tokens em formulários
□ Rate limiting em APIs
□ Secrets em variáveis de ambiente
□ HTTPS obrigatório em produção
□ Dependency scanning no CI

Segurança em Integrações

• AWS S3 (storage) — Ameaças: Validação de entrada/saída, rate limiting

Ameaças Específicas do Domínio: devtools

• Confidencialidade: Dados em trânsito e repouso criptografados
• Integridade: Validação de entrada, checksums
• Disponibilidade: Backup, disaster recovery, monitoring
• Auditoria: Logging de ações sensíveis, retention policy

Quando Ativar

• Qualquer feature que lida com: autenticação, autorização, dados pessoais, pagamentos
• Novas APIs públicas
• Integrações com sistemas externos
• Mudanças em infra/deploy

Output Esperado

1. Lista de findings com severidade (CRITICAL/HIGH/MEDIUM/LOW)
2. Recomendações de mitigação
3. Threat model (se aplicável)

🔗 Cross-References (Agentes Relacionados)

Agente	Quando Consultar
Backend Developer	Falha de segurança em endpoint/service
QA Test Engineer	Testes de segurança (fuzzing, pentest)

Regra: Nunca implementar isoladamente. Sempre verificar se o agente relacionado precisa ser consultado.